Unternehmens-VPN-Portale bleiben eine der zuverlässigsten Initial-Access-Oberflächen im öffentlichen Internet – nicht weil die Protokolle gebrochen sind, sondern weil gestohlene oder erratene Passwörter weiterhin im großen Maßstab funktionieren. Dieser Beitrag ist eine Synthese der Bedrohungsforschung, kein Hersteller-Release: Er verbindet die Credential-Stuffing-Messungen aus Verizons DBIR 2025 mit einer koordinierten Kampagne vom Februar 2026 gegen Palo Alto GlobalProtect-Portale und erklärt, was dieses Muster für Betreiber und datenschutzbewusste Remote-Mitarbeiter bedeutet.
Was die Zahlen über Credential Stuffing sagen
Verizons zusätzliche DBIR-Forschung 2025 zu Credential Stuffing berichtet, dass kompromittierte Anmeldedaten in 22% der geprüften Sicherheitsverletzungen ein Initial-Access-Vektor waren. In den Protokollen von SSO-Anbietern lag der mediane tägliche Anteil der Authentifizierungsversuche, die Credential Stuffing zugeschrieben wurden, bei 19%—etwa 25% bei Unternehmenskunden und 12% sogar bei kleinen Unternehmen—mit einem Tageshöchstwert von 44%. Daten zu Infostealer-Malware in derselben Veröffentlichung zeigten, dass im Medianfall nur 49% der gespeicherten Passwörter eines Nutzers über verschiedene Dienste hinweg eindeutig waren. Einfach gesagt: Wiederverwendung ist immer noch so weit verbreitet, dass Combo-Listen profitabel bleiben.
Quelle: Verizon Business — Zusätzliche DBIR-Forschung 2025 zu Credential Stuffing.
Credential Stuffing unterscheidet sich von lautem Password Spraying. Angreifer speisen zuvor geleakte Benutzername/Passwort-Paare (Combo-Listen) ein, oft über Proxys, und versuchen jedes Paar einmal pro Ziel, sodass der Datenverkehr im gewöhnlichen Anmelde-Rauschen untergeht. MFA verringert den Schadenradius, aber Verizon merkt an, dass MFA zunehmend eine Grundvoraussetzung statt einer Wunderwaffe ist – insbesondere wenn Nutzer nie registriert werden oder wenn Sitzungstoken nach einer erfolgreichen Anmeldung gestohlen werden.
Fallstudie: GlobalProtect-Portale, Februar 2026
Am 23.–24. Februar 2026 beobachtete das ELLIO Threat Research Lab einen 11× Anstieg gegen Palo Alto GlobalProtect-Anmeldepfade (/global-protect/login.esp). Im Verlauf von rund 48 Stunden erfassten Sensoren etwa 30,000 Sitzungen von 8,575 eindeutigen Quell-IPs in drei orchestrierten Wellen. Etwa 89% der Sitzungen waren GET-Aufklärung; eine Teilmenge folgte mit POST-Anmeldeversuchen.
Die POSTs verwendeten ein einziges Passwort erneut (Password1) über ein festes Wörterbuch mit 78 mitarbeiterähnlichen Benutzernamen (erster Anfangsbuchstabe + Nachname). ELLIO bewertete diese Phase als aggressives Sondieren, welche Portale das Authentifizierungsformular akzeptieren, nicht unbedingt als sorgfältig kuratierten Combo-List-Smash. Die Infrastruktur war im Adressraum von GTT Communications (AS3257) konzentriert, mit charakteristischen TCP/HTTP-Fingerabdrücken (einschließlich eines JA4H-POST-Fingerabdrucks, der nahezu ausschließlich dieser Kampagne zuzuordnen ist).
Quelle: ELLIO — Koordinierte Credential-Stuffing-Kampagne zielt auf Palo Alto GlobalProtect-Portale (26. Februar 2026).
Die defensive Lehre, die ELLIO betont, ist die Abfolge: GET-Sondierung ging dem POST-Stuffing innerhalb jeder Welle um Stunden voraus. Organisationen, die Aufklärungs-IPs oder Tool-Fingerabdrücke früh blockierten, sahen die Credential-Phase nie. VPN-Portale bleiben wiederkehrende Ziele; Hosting-ASNs rotieren, das Playbook—Portal finden, Authentifizierung testen, weiterziehen—jedoch nicht.
Wie sich das von einer „Bleed“-Schlagzeile eines einzelnen Anbieters unterscheidet
Massenhafte Credential-Offenlegungen gegen bestimmte Firewall-VPN-Marken dominieren die Nachrichtenzyklen, weil die Zahlen enorm und die IOCs konkret sind. Diese Vorfälle sind wichtig. Sie sind jedoch nicht die einzige Erscheinungsform des Problems. Die GlobalProtect-Welle zeigt ein langsameres, weniger intensives Muster: handelsübliche Benutzernamenlisten, triviale Passwörter und breites Scannen internetzugänglicher SSL-VPN-Anmeldeseiten. Die SSO-Telemetrie von Verizon zeigt dieselbe Missbrauchsklasse, die über viele Branchen hinweg einen großen Anteil des täglichen Authentifizierungsverkehrs ausmacht—nicht nur bei Firewall-Appliances.
Für ein Publikum aus dem Bereich Datenschutz und Sicherheit sind die gemeinsamen Ursachen nüchtern und beständig:
- Passwortwiederverwendung über Unternehmens-SSO, VPN, E-Mail und private Websites hinweg.
- Internetexponierte VPN- oder Admin-Portale, die Passwortauthentifizierung ohne phishingresistente MFA akzeptieren.
- Schwache oder veraltete Passwortspeicherung auf Appliances (wo Offline-Cracking nach einem Hash-Diebstahl praktikabel wird).
- Infostealer-Malware auf Endpunkten, die im Browser gespeicherte VPN- und Admin-Zugangsdaten abgreift und in Untergrundmärkte einspeist.
Risiko für Menschen, nicht nur für SOC-Dashboards
Wenn ein Unternehmens-SSL-VPN-Konto durch Credential Stuffing erfolgreich übernommen wird, erbt der Angreifer einen vertrauenswürdigen Zugang zu internen Apps, E-Mail und Dateifreigaben. Das kann zur Vorbereitung von Ransomware, zu Gehaltsbetrug oder zu stillem Datendiebstahl führen. Für Privatpersonen, die Consumer-VPNs nutzen, ist das analoge Fehlermuster die Kontoübernahme des VPN-Abonnements selbst (Abrechnungs-E-Mail + wiederverwendetes Passwort), gefolgt von Sitzungsmissbrauch oder Social Engineering über Support-Kanäle. Die Kryptografie von WireGuard oder OpenVPN hilft nicht, wenn sich der Angreifer einfach als Sie anmeldet.
Remote-Mitarbeiter sollten außerdem bedenken, dass ein Unternehmens-VPN-Portal im öffentlichen Internet eine Werbung ist: Scanner finden /global-protect/login.esp, Fortinet SSL VPN-Pfade und ähnliche URLs fortlaufend. „Wir sind zu klein, um ein Ziel zu sein“ steht im Widerspruch zur Stuffing-Rate von Verizon bei kleinen Unternehmen und zu automatisierten Kampagnen, die pro Versuch fast nichts kosten.
Fundierte Gegenmaßnahmen (Betreiber)
- Öffentliche Admin-Zugänge nach Möglichkeit entfernen. Management-Schnittstellen sollten nicht dem gesamten Internet ausgesetzt sein; bevorzugen Sie allowlisted Jump Hosts oder Zero-Trust-Broker.
- Phishing-resistente MFA durchsetzen bei VPN- und Admin-Konten (FIDO2/passkeys oder gleichwertig), nicht allein SMS.
- Recon früh blockieren. Speisen Sie Scanner-Fingerprints und ASNs mit hoher Konfidenz in die Edge-Kontrollen ein, bevor POST-Stuffing beginnt.
- Rate-Limits setzen und alarmieren bei verteilten Authentifizierungsfehlern gegen VPN-Pfade; auf einheitliche Passwörter oder starre Benutzernamensmuster achten.
- Zugangsdaten nach Infostealer-Treffern rotieren auf Admin-Laptops; davon ausgehen, dass im Browser gespeicherte VPN-Passwörter kopiert wurden.
- Stärkere Passwort-Hashing-Verfahren bevorzugen auf Appliances (zum Beispiel PBKDF2, sofern Hersteller dies unterstützen) und veraltete Hash-Modi deaktivieren.
- Hersteller- und nationale CSIRT-Hinweise befolgen, wenn eine Kampagne Ihre Produktfamilie nennt; Konfigurationsbaselines auf unbekannte Administratorkonten prüfen.
Fundierte Gegenmaßnahmen (Einzelpersonen)
- Einen Passwortmanager verwenden; das VPN- oder E-Mail-Passwort niemals anderweitig wiederverwenden.
- MFA für das VPN-Konto und das E-Mail-Postfach aktivieren, über das es zurückgesetzt werden kann.
- Firmen-VPN-Passwörter nicht in Browsern auf privaten Geräten speichern, auf denen auch beliebige Erweiterungen laufen.
- Unerwartete E-Mails zum Zurücksetzen des VPN-Passworts als möglichen Vorfall behandeln, nicht als routinemäßiges Rauschen.
Was wir nicht behaupten
Dieser Artikel behauptet nicht, dass GlobalProtect einzigartig schwach ist, dass jede Organisation, die Scans feststellt, bereits kompromittiert ist, oder dass No-Logs-VPNs für Verbraucher immun gegen Kontoübernahmen sind. Er behauptet – gestützt auf die veröffentlichten Messungen von Verizon und die Kampagnentelemetrie von ELLIO vom Februar 2026 –, dass Credential Stuffing gegen VPN-Authentifizierungsendpunkte Routine ist, automatisiert erfolgt und überall dort weiterhin wirksam ist, wo Passwörter die Zugangsschranke bleiben.
Starke Tunnel sind wichtig. Ebenso einzigartige Passwörter, MFA und die Verringerung der Zahl der Passwort-Zugangsschranken, die Sie dem gesamten Internet aussetzen.